Log4j sorgt unter Cybersicherheitsexperten für erhebliche Besorgnis, sollte aber auch ein Weckruf sein, um die allgemeine Cloud-Sicherheitslage ihrer Organisation zu verbessern.
Inzwischen sind wir alle damit beschäftigt, Bedrohungen zu bekämpfen, die Schwachstellen in der Apache-Log4j-Bibliothek ausnutzen – einer Open-Source-Software, die zur Übermittlung diagnostischer Nachrichten an Systemadministratoren und Netzwerkbenutzer dient. Zu diesen Schwachstellen kann alles gehören – von der Bereitstellung der allgegenwärtigen 404-Fehlermeldung bis zur Protokollierung routinemäßiger Ereignisse.
Was diese Schwachstelle so alarmierend macht, ist die weite Verbreitung von Log4j in allen möglichen Anwendungen. Sie steckt in beliebten Spielen wie Minecraft und in der Infrastruktur von Cloud-Servern, darunter Amazon Web Services (AWS) und Apple iCloud.
Seit die Schwachstelle im Dezember 2021 bekannt wurde, wurden laut einigen Sicherheitsverantwortlichen, die die Lage beobachten, jede Minute Hunderte Versuche protokolliert, sie für Angriffe auf Systeme zu nutzen. Jen Easterly, die Direktorin der staatlichen Cybersecurity and Infrastructure Security Agency, bezeichnete sie als die schwerwiegendste Sicherheitslücke, die sie in ihrer Laufbahn erlebt habe, und erklärte, dass ihre vollständige Behebung Jahre dauern könnte.
Apache hat seit dem ersten Bekanntwerden des Problems mehrere Patches veröffentlicht. Doch über Updates und Patches hinaus macht Log4j auch die Risiken und Verantwortlichkeiten sichtbar, die mit dem Shared Responsibility Model der Cloud verbunden sind.
Wir müssen akzeptieren, dass dort draußen mit ziemlicher Sicherheit ähnliche, unbekannte Schwachstellen lauern, und lernen, mit dieser Ungewissheit zu leben. Indem wir der sicheren Konfiguration unserer Cloud-Umgebungen mehr Aufmerksamkeit widmen, können wir es Angreifern erschweren, diese Schwachstellen auszunutzen.
Siehe auch: Der erfolgreiche CISO: So schafft man Vertrauen bei Stakeholdern
Best Practices für eine verbesserte Cloud-Abwehr
Jedes Unternehmen, das seine Cloud-Abwehr angesichts der Log4j-Angriffe verbessern möchte, sollte die folgenden Best Practices umsetzen:
Dauerhafte Zugangsdaten abschaffen
Statische Zugangsdaten gelten als wichtiger Zugriffsvektor für Angreifer, die in Cloud-Umgebungen eindringen wollen. Es dauerte nicht lange, bis Angreifer die Log4j-Schwachstelle ausnutzten, um Cloud-Zugangsdaten für ihre eigenen Zwecke abzugreifen. Identitätsbasierte Angriffe mit kompromittierten Zugangsdaten sind besonders gefährlich, wenn Systeme auf dauerhaften Zugangsdaten wie IAM-Zugriffsschlüsseln für Benutzer (Identity and Access Management) beruhen.
Die Entdeckung dieser Schwachstelle ist daher eine gute Gelegenheit, zu überdenken, wofür diese dauerhaften Zugangsdaten überhaupt gut sind – nämlich für nicht besonders viel. Sie sind praktisch, und ihr Ersatz wäre mühsam. Deshalb sehen Organisationen zunächst nur die Unannehmlichkeiten. Doch das ist nichts im Vergleich zu den Folgen eines schwerwiegenden Eindringens.
Es gibt viele gute Lösungen. In AWS beispielsweise lassen sich Zugriffsschlüssel für die Befehlszeilenschnittstelle (CLI) durch AWS single sign-on (SSO) oder saml2aws, ein Tool, mit dem sich Benutzer anmelden und temporäre Zugangsdaten abrufen können, ersetzen. Im Notfall kann das System einen Vault verwenden, um AWS-Zugangsdaten sicher im Schlüsselbund des Betriebssystems zu speichern und darauf zuzugreifen.
Es erfordert Arbeit, dauerhafte Zugangsdaten in einer gesamten Umgebung abzuschaffen. Doch wenn auch nur die geringste Möglichkeit besteht, dass Angreifer diese Zugangsdaten abgreifen könnten, wie der jüngste Vorfall gezeigt hat, ist der Aufwand lohnenswert. Für die Zukunft sollte es außerdem zur Best Practice werden, statische Zugangsdaten wann immer möglich zu vermeiden.
Siehe auch: Secure Access Service Edge: Große Vorteile, große Herausforderungen
Zugriffe Dritter und Compliance im Blick behalten
Angriffe auf die Lieferkette sind aus gutem Grund ein aktuelles Thema: Sie stellen eine ernsthafte Bedrohung dar, werden aber häufig übersehen.
Zugriffe Dritter werden häufig nur oberflächlich kontrolliert, obwohl sie einen zunehmend attraktiven Angriffsvektor für Einbrüche darstellen. Wenn der Zugriff Dritter nicht ordnungsgemäß verwaltet wird, können die Folgen verheerend sein, wie Log4j gezeigt hat.
Um die Kontrolle zu behalten, sollten Sie zunächst die Veröffentlichungen von Anbietern zur Log4j-Schwachstelle verfolgen. Kontaktieren Sie die Anbieter und fragen Sie direkt, ob sie betroffen waren und wie sie mit dieser Gefährdung umgehen. Dies sollte alle Unternehmen daran erinnern, die Sicherheit ihrer Anbieter genau zu prüfen und die Identitäten Dritter zu überwachen, die für den Zugriff auf ihre Umgebung und die dort gewährten Berechtigungen verwendet werden.
Außerdem sollten Sie die Konfigurationen, Berechtigungen und Protokolle Ihrer Umgebung überprüfen, um Erkenntnisse über potenzielle Bedrohungen zu gewinnen. Suchen Sie durch die Analyse von Protokollen nach ungewöhnlichem Verhalten, um bösartige Aktivitäten zu erkennen und Angriffe abzuwehren, bevor der Schaden größer wird. So sollte beispielsweise eine über die Rolle des Benutzers hinausgehende Ausweitung von Berechtigungen als anomales Verhalten markiert und ein Alarm für die Sicherheitsverantwortlichen ausgelöst werden.
Übermäßige Berechtigungen begrenzen
Überdenken Sie, ob Dritte dauerhafte Benutzerschlüssel für den Zugriff auf die Umgebung und Ressourcen Ihrer Organisation benötigen. Auch wenn dies praktisch sein mag, ist es nicht ratsam. Sicherer ist es, diese Benutzer auf einen Dienst umzustellen, der ihnen mithilfe einer Rolle für Dritte und einer externen ID Zugriff gewährt, und anschließend die dauerhaften Zugriffsschlüssel zu deaktivieren.
Passen Sie außerdem die Berechtigungen an den tatsächlichen Bedarf an. Dadurch lassen sich die seitlichen Bewegungen eines Angreifers mit kompromittierten Zugangsdaten reduzieren und die Schäden begrenzen. Die Überwachung der Berechtigungen und Aktivitätsprotokolle jeder Identität hilft dabei, Empfehlungen für Richtlinien nach dem Prinzip der geringsten Berechtigung zu erstellen. So werden die Identitäten auf die Funktionen beschränkt, die sie tatsächlich benötigen, ohne die Produktivität zu beeinträchtigen.
Siehe auch: Die besten Website-Scanner
Abwehr verstärken
Die Bewertung und Behebung der Gefährdung durch die Log4j-Schwachstelle bietet Organisationen die Gelegenheit, ihre Abwehrmaßnahmen umfassend zu verstärken. Nutzen Sie diese Gelegenheit, um Kontrollen neu zu bewerten und die Sicherheit der Cloud-Umgebung Ihrer Organisation einzuschätzen. So können Sie Ihre Sicherheitslage verbessern, bevor die nächste Schwachstelle bekannt wird – bei den Sicherheitsverantwortlichen oder, noch wichtiger, bei den Angreifern.
Über den Autor:
Shai Morag, CEO, Ermetic